CVE-2026-94107
WysokieCVSS 8.1Streszczenie
W NivoCart do wersji 2.4.0 występuje podatność przewidywalnego tokenu resetowania hasła w punkcie końcowym forgotten.php, który generuje kody odzyskiwania za pomocą substr(md5(mt_rand()), 0, 10). Atakujący znający adres e-mail administratora może zażądać resetu hasła i przewidzieć token, aby uzyskać dostęp do konta administracyjnego bez ograniczeń szybkości ani wygaśnięcia.
Ocena ryzyka
Atakujący może przejąć konto administratora, co prowadzi do pełnej kontroli nad sklepem i danymi klientów. Brak ograniczeń szybkości i wygaśnięcia tokenu znacząco ułatwia atak.
Rekomendacja
Należy zastąpić przewidywalny generator tokenów kryptograficznie bezpiecznym mechanizmem, dodać ograniczenia szybkości i wygaśnięcie tokenów oraz zaktualizować NivoCart do wersji zawierającej poprawkę.
Inne podatności w NivoCart
Zobacz wszystkie- CVE-2026-94105Średnie
NivoCart do wersji 2.4.0 zawiera destrukcyjną podatność na zapis konfiguracji w kontrolerze resetowania hasła administratora, która pozwala nieuwierzytelnionym atakującym na wyłączenie odzyskiwania hasła poprzez podanie nieprawidłowego parametru code. Atakujący mogą wysłać żądanie GET z brakującym lub nieprawidłowym kodem, aby przepisać ustawienie config_password na 0, wyłączając samodzielne odzyskiwanie hasła, dopóki administrator ręcznie go nie włączy ponownie.
- CVE-2026-94104Wysokie
W NivoCart do wersji 2.4.0 występuje podatność dowolnego przesyłania plików w punkcie końcowym File Manager multi(), który nie waliduje rozszerzeń plików dla nowych nazw ani gdy parametr chunks ma wartość 2 lub wyższą. Atakujący z dostępem tylko do odczytu w back-office mogą przesłać pliki PHP do katalogu image/data/ dostępnego z sieci i wykonać je w celu zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
NivoCart through 2.4.0 contains a predictable password reset token vulnerability in the forgotten.php endpoint that generates recovery codes using substr(md5(mt_rand()), 0, 10). Attackers who know an administrator's email address can request a password reset and predict the token to gain administrative account access without rate limiting or expiration.